Export audit evidence: change history, stock-take, data quality and EOL/EOS for a period as a ZIP

Wer eine Prüfung begleitet, braucht keine Bildschirmfotos, sondern belegbare Listen: Was hat sich in der Konfigurationsverwaltung geändert, wann wurde inventarisiert, welche Datenqualitätsfälle gab es, wie steht es um Support- und Lebensende? Der Reiter Prüfnachweis bündelt das für einen Zeitraum in einem ZIP. Das Paket enthält je Tabelle eine CSV-Datei, ein Deckblatt und ein Manifest mit Prüfsummen.

Warum ein gebündeltes Paket? Eine Prüferin oder ein Prüfer will einen Zeitraum aus einem Guss und die Sicherheit, dass nichts nachträglich verändert wurde. Die Prüfsumme macht jede spätere Änderung an den Dateien sichtbar.

Schritt 1: Den Reiter Prüfnachweis öffnen

Unter Konfigurationsverwaltung auf Nachweise klicken und den Reiter Prüfnachweis öffnen. Den Reiter sehen alle, die die Konfigurationsverwaltung ansehen dürfen. Oben steht die Erklärung: Erzeugen Sie für einen Zeitraum ein Prüfpaket (ZIP) aus Änderungshistorie, Inventur, Datenqualität und EOL/EOS. Es enthält je Tabelle eine CSV-Datei, ein Deckblatt und ein Manifest mit Prüfsummen.

Warum bei den Nachweisen? Hier liegen auch die einzelnen Nachweise (Inventur, Datenqualität, EOL/EOS-Bericht). Das Paket fasst sie zusammen.

Schritt 2: Zeitraum und Bereiche wählen

• Von (inklusive) und Bis (inklusive): der Zeitraum. Voreingestellt ist der Beginn des laufenden Jahres bis heute. Das Paket enthält alle Einträge vom Beginn des Von-Tages bis zum Ende des Bis-Tages. Der Zeitraum gilt in UTC, und er darf höchstens rund zehn Jahre umfassen.
• Schnellauswahl: fünf Knöpfe über den Datumsfeldern, die Von und Bis für Sie setzen: Seit Monatsanfang, Letzte 30 Tage, Letzter Monat, Seit Jahresanfang und Letztes Jahr. Beide Tage zählen mit, bei Letzte 30 Tage also auch heute. Ändern Sie danach ein Datum von Hand, ist kein Knopf mehr hervorgehoben.
• Bereiche: vier Kästchen, standardmäßig alle angekreuzt.
  • Änderungshistorie: alle Änderungen an der Konfigurationsverwaltung mit Hash-Kette. Werte außerhalb Ihrer Feldrechte sind maskiert.
  • Inventur: Runden und Abweichungen mit Bearbeitungsstand.
  • Datenqualität: Klärfälle mit Verlauf der Prüfungen.
  • EOL/EOS: Register der Ausnahmen und Bericht zu Support- und Lebensende.

Ist das Datum ungültig oder liegt Von nach Bis, erscheint Bitte wählen Sie ein gültiges Von- und Bis-Datum, das Von-Datum darf nicht nach dem Bis-Datum liegen. Ohne mindestens einen Bereich bleibt der Knopf gesperrt.

Warum Bereiche wählen? Eine Prüfung zur Datenqualität braucht keine EOL-Listen. Ein kleineres Paket ist schneller zu erzeugen und leichter zu lesen.

Beispiel: Die Revision der Beispiel GmbH prüft das Geschäftsjahr 2026. Sie tragen Von 01.01.2026 und Bis 31.12.2026 ein und lassen alle vier Bereiche angekreuzt.

Schritt 3: Prüfpaket erzeugen

Klicken Sie auf Prüfpaket erzeugen. Während das Paket entsteht, steht auf dem Knopf Wird erzeugt .... Dann lädt der Browser die Datei pruefnachweis-{von}_{bis}.zip herunter, und es erscheint Das Prüfpaket wurde erzeugt und heruntergeladen.

Das Paket wird bei jedem Klick neu erzeugt. Es wird nicht gespeichert und kann nur an Sie ausgeliefert werden. Jeder Download wird im Sicherheitsprotokoll festgehalten, mit Person, Zeitraum, Bereichen und Gesamtprüfsumme.

Darunter steht der Abschnitt Zuletzt erzeugte Pakete: die letzten Einträge aus dem Sicherheitsprotokoll mit Zeitpunkt, Abgeschlossen oder Abgebrochen, Zeitraum, Bereichen, Zeilenzahl und bei abgeschlossenen Paketen der Prüfsumme. Angezeigt werden höchstens die letzten 50 Einträge, ohne E-Mail-Adresse und ohne IP-Adresse. Die Liste sehen nur Personen mit dem Recht Auditprotokoll ansehen. Alle anderen sehen stattdessen einen grauen Hinweis. Die Liste ist kein manipulationssicherer Nachweis, denn ein Paket kann ohne Eintrag existieren, und eine leere Liste belegt nicht, dass nie ein Paket erzeugt wurde.

Warum nicht aufbewahren? So gilt bei jedem Download Ihr aktuelles Recht. Das Paket zeigt nur, was Ihre Rolle sehen darf. Ein Bereich ohne Recht fehlt und steht mit Hinweis im Deckblatt. Sehen Sie keinen der gewählten Bereiche, lehnt knooing den Download ab.

Schritt 4: Ergebnis und Warnungen lesen

Unter dem Knopf erscheint die Karte Heruntergeladen: {Dateiname} mit

• {n} Zeilen insgesamt,
• der Gesamtprüfsumme (SHA-256 über manifest.json). Dieselbe Prüfsumme steht im Deckblatt und im Eintrag der Erzeugung im Sicherheitsprotokoll (Einstellungen, Sicherheitsprotokoll, für Personen mit dem Recht Auditprotokoll ansehen).
• Keine Warnungen. oder Warnungen: {n} mit der Liste je Bereich.

Warnungen sagen, wo das Paket unvollständig sein kann. Häufige Fälle:

• Die Historie ist bei {n} Zeilen abgeschnitten. oder Das Zeilenlimit von {n} ist erreicht. Je Tabelle gehen höchstens 20.000 Zeilen ins Paket. Engen Sie den Zeitraum ein, damit alles enthalten ist. knooing schneidet nie stillschweigend ab.
• Vor {Zeitpunkt} ist der Verlauf durch die Aufbewahrung verdichtet oder entfernt. Ältere Einzelwerte fehlen, verdichtete Zeilen sind gekennzeichnet.
• Die Hash-Kette ist ab seq {n} nicht in Ordnung oder Die Hash-Kette konnte nicht geprüft werden. Die Kette der Journaleinträge hat einen Befund. Wenden Sie sich an Ihre Administration, bevor Sie das Paket weitergeben.
• Im Zeitraum liegen für Ihre Sicht keine Änderungen vor. Der gewählte Zeitraum ist leer.
• Bei {n} Klärfällen lässt sich der Stand zum Zeitraumende nicht aus dem Journal rekonstruieren.

Hinweise zur Hash-Kette stehen im Deckblatt: wie viele Zeilen des Pakets einen Hash tragen, dass Zeilen aus der Zeit vor Einführung der Kette (Oktober 2026) keinen tragen und dadurch nicht gesichert sind, und ob die Prüfung der Kette des Mandanten ohne Befund war. Diese Angaben sind nicht durch die Prüfsumme gedeckt. Nachrechnen lässt sich die Kette nur in der Datenbank über cmdb_event_chain_verify, weil Mandant, Objekttyp, Akteurs-ID und die unveränderten Rohwerte nicht in der CSV stehen.

Im Bereich EOL/EOS steht ein Objekt mit mehreren Terminen im Bericht einmal. Die Zeilenzahl kann deshalb unter der des allgemeinen EOL-Berichts liegen. Enthält der Mandant Beispieldaten, nennt das Deckblatt die betroffenen Beispielmonate der Datenqualität namentlich, zum Beispiel 2026-03. Beispielvorgänge sind nicht einzeln aufgeführt.

Mehr als die in der Karte genannten Warnungen stehen im Deckblatt: Alle Warnungen stehen im Deckblatt des Pakets.

Warum Warnungen statt Schweigen? Ein Prüfnachweis mit Lücken, von denen niemand weiß, ist gefährlicher als ein Nachweis mit bekannten Lücken. Die Prüferin sieht, was fehlt, und kann dazu fragen.

Schritt 5: Prüfsumme nachrechnen

Entpacken Sie das ZIP. Es enthält:

• deckblatt.txt mit Mandant, Zeitraum, Erzeugungszeitpunkt, Erzeuger, Zeilen je Bereich, fehlenden Bereichen, Warnungen und der Anleitung zur Prüfsumme,
• je eine CSV-Datei: historie.csv, inventur_runden.csv, inventur_abweichungen.csv, datenqualitaet_klaerfaelle.csv, datenqualitaet_journal.csv, eol_register.csv, eol_bericht.csv (je nach gewählten Bereichen), dazu bei der Änderungshistorie historie_lesbar.csv,
• manifest.json mit dem SHA-256, den Zeilen und den Bytes je CSV-Datei.

So prüfen Sie:

1. Bilden Sie den SHA-256 der Datei manifest.json. Unter Linux und macOS mit sha256sum manifest.json, unter Windows mit certutil -hashfile manifest.json SHA256. Er muss mit der Gesamtprüfsumme auf dem Deckblatt und in der Karte übereinstimmen.
2. Bilden Sie den SHA-256 jeder CSV-Datei. Er muss dem Eintrag sha256 dieser Datei im Manifest entsprechen.
3. Das Manifest nennt keinen Erzeugungszeitpunkt. Dieselben Daten ergeben bei einem erneuten Erzeugen dieselbe Gesamtprüfsumme. Ausnahme: historie_lesbar.csv trägt aktuelle Objektnamen. Wurde seitdem ein Objekt umbenannt oder gelöscht oder hat sich Ihre Sicht geändert, ändern sich die Prüfsumme dieser Datei und damit die Gesamtprüfsumme. Die Prüfsumme von historie.csv bleibt gleich.

Die Datei historie_lesbar.csv

In historie.csv steht je Zeile eine Kennung wie ci:<Kennung> für ein Konfigurationselement oder rel:<Kennung> für eine Beziehung. Das ist für Menschen schwer lesbar. historie_lesbar.csv nennt zu jeder Zeile zusätzlich den Objektnamen. Die Datei hat die Spalten seq, zeitpunkt_utc, objekt, objekt_name, entitaet, art, feld und hash. seq und hash sind unverändert aus historie.csv übernommen, sodass Sie beide Dateien zeilengleich vergleichen können. Eine Beziehung erscheint als „A zu B“. Ist das Objekt gelöscht oder für Sie nicht sichtbar, steht nicht mehr vorhanden oder nicht sichtbar. Personennamen enthält die Datei nicht. In der Spalte akteur von historie.csv bedeutet direkter Schreibzugriff, dass die Änderung unmittelbar in der Datenbank erfolgte, ohne erfassten Namen.

Warum nachrechnen? Nur wenn die Prüfsumme stimmt, ist belegt, dass die Dateien seit dem Download unverändert sind. Die Prüferin oder der Prüfer kann das ohne knooing-Zugang selbst nachvollziehen.

Wie die Daten im Paket entstehen, steht in Dieses Objekt prüfen und in Beziehungen attestieren.

Wenn etwas nicht klappt

• „Ihnen fehlt das Recht für die gewählten Bereiche des Prüfnachweises.“ Für keinen der gewählten Bereiche haben Sie das Recht. Wählen Sie andere Bereiche oder bitten Sie um das Leserecht an der Konfigurationsverwaltung.
• „Ihnen fehlt das Leserecht für die Konfigurationsverwaltung.“ Der Bereich fehlt im Paket und steht mit diesem Hinweis im Deckblatt.
• „Ihnen fehlen die Leserechte für Anwendungskosten und für die Konfigurationsverwaltung.“ Der Bereich EOL/EOS fehlt aus demselben Grund.
• „Der Zeitraum ist zu lang.“ Wählen Sie höchstens rund zehn Jahre.
• „Das Von-Datum muss vor dem Bis-Datum liegen (Bis ist exklusiv).“ Im Formular ist Bis inklusive. Prüfen Sie das Datum.
• „Das Prüfpaket konnte nicht erzeugt werden.“ Versuchen Sie es erneut. Besteht der Fehler weiter, verkleinern Sie den Zeitraum oder wenden Sie sich an Ihre Administration.
• Der Reiter Prüfnachweis fehlt. Ihnen fehlt das Leserecht an der Konfigurationsverwaltung.